[發明專利]參數型硬件木馬檢測方法及檢測系統

有效

• 申請號: 201410431718.6
• 申請日: 2014-08-28
• 公開（公告）號: CN104198913B
• 公開（公告）日: 2017-01-04
• 發明（設計）人: 王力緯;侯波;何春華;恩云飛;謝少鋒
• 申請（專利權）人: 工業和信息化部電子第五研究所
• 主分類號: G01R31/28
• 分類號: G01R31/28
• 代理公司: 廣州華進聯合專利商標代理有限公司44224
• 代理人: 周清華

技術領域

本發明涉及集成電路檢測技術領域，，特別是涉及一種參數型硬件木馬檢測方法。

背景技術

近年來，由于受到半導體產業全球化及成本等方面的影響，目前越來越多的集成電路(IC)設計公司選擇把集成電路的制造過程外包給專門的芯片代工廠(Foundry)來完成。這種模式雖然可以減小開銷，但卻極大地削弱了IC設計方對于制造過程的管控能力，使得集成電路在制造階段可能遭受對手的惡意修改，這種惡意修改也被稱為“硬件木馬”。硬件木馬一旦被觸發后，可以影響芯片的功能、降低芯片的可靠性、向對手泄露芯片上正在處理的敏感信息，這給芯片的安全性帶來了極大的安全隱患。

一般來說，根據其所執行的破壞性行為，可以把硬件木馬分為“功能型”和“參數型”兩類。功能型硬件木馬指的是往芯片中加入的一些額外的惡意電路結構，它會導致原始芯片的版圖發生變化；而參數型硬件木馬并不改變原始芯片的版圖，它通過減窄芯片上金屬互連線的寬度等手段來削弱芯片的可靠性，使其壽命變短。對于功能型硬件木馬，目前國內外研究人員均提出了一些檢測方法，其中包括基于邏輯測試的硬件木馬檢測方法和基于旁路分析的硬件木馬檢測方法等，但對于參數型硬件木馬，目前還沒有很好的方法能實現檢測。由于參數型硬件木馬并不改變原始芯片的版圖和功能，因此具有極高的隱蔽性，導致現有的測試技術都不能直接被用于其檢測，這使得參數型硬件木馬的檢測十分困難。

美國凱斯西儲大學的Shiyanovskii等人提出可采用一種基于預先報警機制的電路延遲監測的方法來實現參數型硬件木馬的檢測。該技術方案需要往原始集成電路中插入額外的測試電路(如環形振蕩器等)，這些測試電路把芯片上一個晶體管或若干個器件的傳播延遲與一個預先確定的參考值進行比較。隨著晶體管的退化，該比較的參考值也進行動態地調整。當晶體管的傳播延遲超出參考值時，測試電路會給出預警信號，表明參數型硬件木馬已經影響到了原始芯片的壽命，從而提醒使用人員對該芯片進行更換。該方案在芯片的使用階段，以一種在線實時監測的方式實現參數型硬件木馬的檢測。

然而，對于基于預先報警機制的電路延遲監測的方法來實現參數型硬件木馬的檢測方式，由于在芯片的使用階段，有其他因素可能影響晶體管的延遲(比如供電電壓的減小等)，因此當該方案插入的測試電路監測到傳播延遲變大后，并不能完全確定該變化是由于硬件木馬而引起的，從而導致誤判的可能，需要往原始集成電路中插入一些額外的測試電路，因此會導致芯片面積的增大，此外，由于測試電路本身會發生退化，這會影響木馬檢測的準確性。

發明內容

本發明的目的在于提供一種參數型硬件木馬檢測方法，該方法在不造成集成電路的面積開銷的同時提高檢測的準確性。

本發明的目的通過如下技術方案實現：

一種參數型硬件木馬檢測方法，包括如下步驟：

獲取待檢芯片各層的芯片圖像和原始設計版圖，分別對所述芯片圖像以及所述原始設計版圖進行網格劃分，并保存劃分后所述芯片圖像的各第一網格的第一位置信息、所述原始設計版圖的各第二網格的第二位置信息；

根據所述第一位置信息、所述第二位置信息分別確定各所述第一網格與各所述第二網格的位置對應關系，根據所述位置對應關系分別將各所述第一網格與相應的第二網格進行相似性比較，得到各所述第一網格的特征參數；

根據所述特征參數對各所述第一網格進行聚類劃分得到兩個網格聚類，分別根據所述特征參數為兩個網格聚類中的第一網格分配類別標識，其中，一個網格聚類中的第一網格分配的類別標識表示有木馬；

通過所述第一位置信息以及所述類別標識確定類別標識表示有木馬的相鄰第一網格的數量，根據所述數量判定所述待檢芯片中是否含有參數型硬件木馬。

一種參數型硬件木馬檢測系統，其包括：

網格劃分模塊，用于獲取待檢芯片各層的芯片圖像和原始設計版圖，分別對所述芯片圖像以及所述原始設計版圖進行網格劃分，并保存劃分后所述芯片圖像的各第一網格的第一位置信息、所述原始設計版圖的各第二網格的第二位置信息；

處理模塊，用于根據所述第一位置信息、所述第二位置信息分別確定各所述第一網格與各所述第二網格的位置對應關系，根據所述位置對應關系分別將各所述第一網格與相應的第二網格進行相似性比較，得到各所述第一網格的特征參數；

聚類劃分模塊，用于根據所述特征參數對各所述第一網格進行聚類劃分得到兩個網格聚類，分別根據所述特征參數為兩個網格聚類中的第一網格分配類別標識，其中，一個網格聚類中的第一網格分配的類別標識表示有木馬；